Hace un año escribí que la ciberseguridad no se construye con miedo
Hace un año cerré el artículo del ENISE diciendo que el futuro de la ciberseguridad no se construye con miedo. He vuelto a contar, y los números dicen otra cosa.
El Sentido de la Seguridad
El Sentido de la Seguridad
Hace un año cerré el artículo del ENISE diciendo que el futuro de la ciberseguridad no se construye con miedo. He vuelto a contar, y los números dicen otra cosa.
El martes conté seis frases con las que un comité de dirección aplaza un presupuesto de seguridad y el sesgo que hay debajo de cada una. Eso es la mitad fácil, porque los sesgos tienen nombre y apellido desde hace décadas. La otra mitad casi nunca se cuenta: qué dice la investigación sobre cómo se contrarresta cada uno. Aquí está esa búsqueda hecha estudio por estudio, con quién midió cada mecanismo, con qué experimento, en qué condiciones funcionó, hasta dónde llega lo medido y un hallazgo incómodo sobre la herramienta que medio sector recomienda para esto.
España es uno de los tres países de la Unión Europea que todavía no ha transpuesto NIS2, el expediente de Bruselas ya va camino del Tribunal de Justicia y el martes se disolvieron las Cortes sin que la ley llegara siquiera a entrar en el Congreso. Lo que queda por delante es un año largo sin norma que obligue a nadie, y lo que se haga con ese año se decide en la ronda de presupuestos de estas semanas.
Preparé un viaje durante semanas y al volver me dijeron que había sido una maravilla porque no había pasado nada. Ese es el oficio entero y ese es el problema: la fórmula clásica del cambio necesita insatisfacción para arrancar, y nuestro trabajo consiste en eliminarla de la organización.
La investigación en factores humanos lleva desde antes de los agentes midiendo cómo trabajan juntas una persona y una máquina. Dice tres cosas incómodas: que la autonomía se decide por interdependencia y no por capacidad, que poner a un humano a revisar no es un control, y que cuando el agente manda el equipo rinde algo peor.
El manifiesto que fundó la inteligencia artificial propuso siete áreas de trabajo y ninguna mencionaba la seguridad. Setenta y un años después, con dos modelos que encuentran vulnerabilidades por su cuenta y un Gobierno capaz de retirarlos en una tarde, toca corregir esos deberes uno a uno.
El cuerpo aguanta bien la tensión sostenida, pero factura caro el momento de soltarla: un fenómeno con nombre y estudios propios. Qué le pasa a un equipo de ciberseguridad que vive así cada turno, sin la válvula de unas vacaciones, y qué se puede hacer para no llegar a ese punto.
La versión desarrollada de la newsletter de esta semana. Revisiones de coche y casa con sus cifras, la lista del maletero explicada objeto a objeto, la cuenta que separa lo que da calor de lo que solo lo parece y el protocolo de combustión que evita el riesgo que no avisa.
Vi La Odisea de Christopher Nolan esperando la historia del héroe que tarda diez años en volver a casa. Salí con otra cosa en la cabeza: un hombre que sabe cómo ganó la guerra y que carga con ello durante todo el viaje de vuelta. El caballo de madera no venció por la fuerza, sino convirtiendo en arma el gesto de recibir al extranjero. De ahí arranca un recorrido por tres historias que no hablan de tecnología y que me han cambiado la forma de entender mi oficio.